CVE-2026-27804: Parse Server: tomada de conta por confusão de algoritmo JWT no adaptador de autenticação Google

Visão geral

O Parse Server é um backend de código aberto baseado em Node.js. De acordo com o registro, versões anteriores a 8.6.3 e 9.1.1-alpha.4 aceitam tokens de autenticação Google forjados, porque o adaptador de autenticação Google confiava no algoritmo de assinatura declarado no cabeçalho do token. A fraqueza é classificada como CWE-327, uso de algoritmo criptográfico quebrado ou arriscado.

Impacto

Um atacante remoto e não autenticado poderia entrar como usuários vinculados a uma conta Google sem conhecer suas credenciais.
Os dados do aviso indicam que todas as implantações com autenticação Google habilitada são afetadas.
O vetor CVSS 3.1 da NVD indica alto impacto na confidencialidade e na integridade, sem impacto na disponibilidade.
O CNA GitHub atribui nota 9.3 pelo CVSS 4.0.

Produtos e versões afetadas

O item Parse-community Parse-server aparece com versões de 9.0.0 até antes de 9.3.1-alpha.4, além de versões anteriores a 8.6.3.
O item Parseplatform Parse-server aparece com versões anteriores a 8.6.3, de 9.0.0 até antes de 9.3.1, e com as versões pré-lançamento 9.3.1-alpha1, 9.3.1-alpha2 e 9.3.1-alpha3.
A descrição indica 8.6.3 e 9.1.1-alpha.4 como versões que contêm a correção. Os intervalos afetados acima não coincidem claramente com essa descrição, por isso os limites exatos devem ser confirmados no aviso do fornecedor.

Status de exploração

O catálogo KEV da CISA não lista esta vulnerabilidade. O valor SSVC de exploração no registro é none, e automatizável é yes.
Não há exploração ativa confirmada nas fontes consultadas.
O registro informa probabilidade EPSS de 0,00259 e percentil de 0,16619.

Correção e mitigação

Atualize para 8.6.3 ou 9.1.1-alpha.4, conforme a linha de lançamento em uso. Confirme os limites da linha 9 no aviso do fornecedor e nas notas de versão.
Enquanto a atualização não for possível, desabilite a autenticação Google nas implantações afetadas, como sugere o registro.
Revise a configuração de autenticação de cada instância do Parse Server para identificar onde a autenticação Google está habilitada.

Orientação para detecção

Revise os registros de autenticação em busca de logins pelo adaptador Google que não correspondam ao comportamento esperado dos usuários.
Procure sessões novas abertas para contas vinculadas a identidades Google durante o período de exposição.
Mantenha um inventário das versões do Parse Server e de quais ambientes têm autenticação Google habilitada.

Limitações das informações disponíveis

Os intervalos de versões afetadas no registro conflitam com as versões corrigidas citadas na descrição.
O registro não traz indicadores de detecção ou assinaturas de log publicados pelo fornecedor.
Não há prazo de correção do KEV nem informação sobre uso em ransomware, pois a vulnerabilidade não consta no KEV.

Perguntas frequentes

Qual é o problema central do CVE-2026-27804?

O adaptador de autenticação Google do Parse Server confiava no algoritmo de assinatura declarado no cabeçalho do token, em vez de exigir o algoritmo esperado, o que permitia aceitar tokens forjados.

Quais versões contêm a correção?

A descrição do registro indica 8.6.3 e 9.1.1-alpha.4 como versões com a correção. Os intervalos afetados do registro não coincidem claramente com isso, então confirme os limites no aviso do fornecedor.

Esta vulnerabilidade está sendo explorada?

O catálogo KEV da CISA não a lista, e não há exploração ativa confirmada nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.